ISO/IEC 17021-1 – Partie 1 : ce que la norme encadre, et ce que ça change pour l'entreprise auditée

Derrière chaque certification ISO se trouve un organisme qui a audité, évalué, et finalement accordé le certificat. Pourtant, rares sont les responsables QHSE qui interrogent les règles qui s'appliquent à cet acteur. La norme ISO/IEC 17021-1 définit précisément ces règles. Comprendre ce qu'elle exige permet d'aborder les audits différemment, et d'utiliser la relation avec son certificateur de manière plus éclairée.

Ce que la norme encadre, et ce qu'elle n'encadre pas

ISO/IEC 17021-1 ne fixe pas les exigences des référentiels de management comme ISO 45001 ou ISO 9001. Elle encadre les organismes qui évaluent la conformité à ces référentiels. C'est une norme sur les certificateurs, pas sur les certifiés.

Concrètement, elle définit comment un organisme de certification doit s'organiser, sélectionner ses auditeurs, gérer ses audits, et prendre ses décisions. L'objectif est de garantir que deux entreprises certifiées ISO 45001 par deux organismes différents ont été soumises à des évaluations de qualité comparable.

Sans ce cadre, chaque certificateur pourrait fixer ses propres standards de rigueur, ce qui affaiblirait la valeur des certifications pour toutes les parties concernées.

Les 5 principes, lus du côté de l'entreprise auditée

La norme repose sur cinq principes fondamentaux. Chacun a des implications directes pour l'entreprise qui passe l'audit.

Impartialité. L'organisme certificateur ne peut pas avoir accompagné une entreprise dans la mise en place de son système de management, puis venir l'auditer. Ces deux activités sont incompatibles. Si un cabinet de conseil vous a accompagné vers ISO 45001, il ne peut pas être l'organisme qui vous certifiera.

Compétence. Un audit n'a de valeur que si l'auditeur comprend réellement l'activité évaluée. La norme exige une connaissance sectorielle, pas seulement une maîtrise technique des référentiels. Pour une entreprise industrielle, un auditeur sans expérience concrète du secteur concerné est un signal d'alerte légitime.

Responsabilité. La décision finale de certification ne revient pas à l'auditeur seul. Elle doit faire l'objet d'une analyse indépendante, distincte de l'audit lui-même. Ce principe introduit un double regard qui renforce la fiabilité du processus.

Transparence. L'entreprise auditée doit comprendre les critères utilisés, le déroulement de l'audit, et les bases sur lesquelles la décision est prise. Un certificateur qui ne peut pas expliquer clairement son processus de décision ne respecte pas cette exigence.

Confidentialité. Les informations collectées lors des audits sont protégées. Ce point est particulièrement important dans les secteurs où les données opérationnelles sont sensibles.

La séparation entre audit et décision de certification

Un point souvent ignoré : l'auditeur qui réalise l'évaluation sur le terrain ne prend pas la décision de certification. Ce sont deux fonctions distinctes au sein de l'organisme certificateur. Cette séparation est explicitement requise par la norme pour éviter les biais.

En tant qu'entreprise auditée, cela signifie que le rapport d'audit et la décision finale peuvent diverger. L'auditeur constate et documente. La validation appartient à un comité distinct, qui analyse le rapport de manière indépendante avant de statuer.

Le cycle d'audit : les trois types à connaître

La norme encadre trois types d'audit auxquels une entreprise certifiée est exposée.

Audit initial : réalisé en deux étapes. La première analyse la documentation et le contexte de l'entreprise. La seconde est un audit sur site, avec rencontre des équipes et vérification des pratiques réelles face au système décrit.

Audits de surveillance : réalisés annuellement ou bisannuellement selon l'organisme et le référentiel. Ils vérifient que le système reste efficace et maintenu dans le temps. Ils ne sont pas des formalités.

Audit de renouvellement : tous les trois ans, il réévalue l'ensemble du système de management. Il est plus complet que les audits de surveillance et constitue l'occasion de vérifier que le système a évolué avec l'organisation.

Connaître ce cycle permet de se préparer de manière continue plutôt que de traiter chaque audit comme un événement isolé.